TL;DR
Par une décision définitive du 2 octobre 2026, publiée par le CEPD le 16 octobre, l'autorité norvégienne de protection des données a infligé à Xandr Inc. (anciennement AppNexus, aujourd'hui filiale de Microsoft) une amende de 8,6 millions d'euros, soit 92 millions de couronnes. Xandr traitait les données des utilisateurs norvégiens de Grindr lors des enchères en temps réel sans base juridique (art. 6, § 1) et sans exception valable pour les données relatives à l'orientation sexuelle (art. 9, § 1). Le consentement recueilli par Grindr n'était pas valable, et Xandr ne l'avait pas vérifié.
L'origine de l'affaire
La plainte date de 2020 et émane du Conseil norvégien des consommateurs (Forbrukerrådet). Elle porte sur les enchères en temps réel dans Grindr, l'application de rencontre géolocalisée destinée aux personnes gays, bi, trans et queer : chaque fois qu'un espace publicitaire s'ouvre, les données de l'utilisateur sont proposées à une foule d'annonceurs qui enchérissent en quelques millisecondes. En 2021, la même autorité avait sanctionné Grindr de 65 millions de couronnes pour le partage de données avec ses partenaires publicitaires.
Ce que l'autorité a constaté
- DONNÉES TRAITÉES. Au minimum le fait qu'une personne utilisait Grindr, l'identifiant publicitaire et l'adresse IP : des données à caractère personnel au sens de l'art. 4, point 1, et, du fait même de l'usage de l'application, des données concernant l'orientation sexuelle au sens de l'art. 9, § 1.
- RESPONSABILITÉ CONJOINTE. Xandr est responsable conjoint du traitement, à la fois comme plateforme côté offre (SSP) et côté demande (DSP).
- BASE JURIDIQUE. S'agissant de catégories particulières, la base pertinente était le consentement explicite de l'art. 9, § 2, a). Xandr ne le recueillait pas : il s'appuyait sur celui de Grindr.
- CONSENTEMENT NON VALABLE. Le consentement de Grindr ne respectait pas les art. 4, point 11, et 7 ; il ne pouvait donc pas non plus couvrir le traitement de Xandr.
- GRAVITÉ. Manquements au moins négligents, portant sur des dispositions centrales du règlement et sur des données sensibles : d'une gravité élevée selon l'autorité.
La responsabilité ne s'externalise pas
C'est le point qui dépasse l'adtech. Datatilsynet affirme que chaque responsable conjoint doit vérifier de manière autonome que le consentement est valable et couvre son propre traitement. Une clause contractuelle dans laquelle le partenaire « garantit » avoir recueilli le consentement ne suffit pas si personne ne contrôle ensuite la manière dont il est demandé.
Ce que cela signifie pour le DPO
Quatre vérifications
Un : recenser les SDK et partenaires publicitaires présents dans les applications et sites du client, et les données qu'ils reçoivent. Deux : se demander si le contexte lui-même révèle une catégorie particulière (une application de santé, de religion, d'orientation sexuelle) : si oui, c'est le consentement explicite ou rien. Trois : pour chaque consentement reçu d'un tiers, conserver la preuve de la manière dont il a été demandé et qu'il couvre précisément ce traitement. Quatre : formaliser l'accord de l'art. 26 avec ceux qui déterminent conjointement les finalités et les moyens.
La décision s'inscrit dans une ligne européenne désormais constante sur les enchères en temps réel, de l'arrêt de la Cour de justice de 2024 sur le TCF d'IAB Europe aux enquêtes sur les intermédiaires publicitaires. Pour qui reçoit des données d'une application, la question n'est plus « le partenaire a-t-il un consentement ? » mais « l'ai-je vérifié moi-même ? ».
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
